Die Autoriteit Persoonsgegevens (AP) verhängte im August 2024 eine Geldbuße von 290 Millionen Euro gegen Uber. Grund war die Übermittlung von Fahrerdaten an US-Server ohne gültige Transfervereinbarung. Kein anderer DSGVO-Fall hat eine höhere Strafe für eine grenzüberschreitende Datenübertragung ergeben. Die AP bearbeitete 2023 außerdem über 21.400 Beschwerden. Das macht sie zu einer der aktivsten Datenschutzbehörden Europas.
Was die AP im Uber-Fall festgestellt hat
Uber sammelte Daten von Fahrern in den Niederlanden und Frankreich. Die Daten umfassten Standortverlauf, Ausweisdokumente, Lohnnachweise, Fahrtaufzeichnungen und Steuerunterlagen. All diese Daten wurden auf US-Server übertragen. Die AP stufte die verwendete Übertragungsmethode als unzulässig ein.
Drei Feststellungen lagen dem Urteil zugrunde:
- Unzureichende Übertragungsmethode: Uber verwendete Binding Corporate Rules (BCRs). Die AP stellte fest, dass diese den Umfang und die Sensibilität der übertragenen Fahrerdaten nicht abdeckten.
- Kein Transfer Impact Assessment (TIA): Uber konnte nicht nachweisen, dass das US-Recht die vereinbarten Transferschutzmaßnahmen unberührt lässt.
- Sensible Daten durch Kombination: Standortdaten, Vergütung und Leistungsbewertungen ergeben zusammen ein detailliertes Bild jedes Fahrers. Die AP behandelte diese Kombination als äquivalent zu sensiblen personenbezogenen Daten.
Der Uber-Fall setzt eine klare Regel. Mitarbeiter- und Auftragnehmer-Daten, die in die USA übermittelt werden, benötigen dasselbe TIA und dieselben Zusatzmaßnahmen wie Verbraucherdaten.
AP-Durchsetzungsschwerpunkte für 2025
Aktualisiert für 2026
Die AP hat drei Bereiche benannt, die sie 2025 genau beobachtet.
Mitarbeiterüberwachung: Fernarbeits-Tracking-Tools sind das Hauptziel. Dazu gehören Produktivitätsprotokolle, Bildschirmaufnahmen, Tastatureingabe-Tracking und Fernstandort-Tools. Bevor Unternehmen ein solches Tool einsetzen, müssen sie dokumentieren, warum weniger eingreifende Alternativen abgelehnt wurden.
Grenzüberschreitende Datenübertragungen: Nach dem Uber-Urteil überprüft die AP Übertragungsmethoden. Unternehmen, die auf US-amerikanische, asiatische oder andere Dienste aus Ländern ohne Angemessenheitsbeschluss setzen, sind im Fokus. Jedes Unternehmen, das US-Softwaretools für HR, Projektarbeit oder Kundendaten nutzt, muss ein aktuelles TIA vorweisen.
Automatisierte Entscheidungen: KI-Kreditscoring, Einstellungsfilter und Leistungssysteme lösen Pflichten nach Artikel 22 aus. Die AP zielt auf Organisationen ab, die automatisierte Entscheidungen ohne echten menschlichen Überprüfungsschritt treffen. Sowohl Arbeitnehmer als auch Verbraucher müssen abgedeckt sein.
Die BSN: Ein rechtlich geschützter Identifikator
Die Burgerservicenummer (BSN) ist eine 9-stellige Bürgerdienstnummer. Sie wird mit dem Elfproef-Algorithmus (Elfenprüfung) validiert. So funktioniert die Prüfung: Multipliziere jede Ziffer mit einem Gewicht von 9 abwärts bis −1, addiere die Ergebnisse. Die Summe muss durch 11 teilbar sein.
Das BSN-Gesetz (Wet algemene bepalingen burgerservicenummer) schränkt die BSN-Nutzung auf bestimmte rechtliche Kontexte ein. Diese sind: Steuern, Gesundheitswesen, Behörden und Arbeitgeberabrechnung. Die Nutzung einer BSN außerhalb dieser Kontexte löst Durchsetzungsmaßnahmen nach dem BSN-Gesetz aus. Hinzu kommt eine DSGVO-Haftung.
Warum generische Tools BSNs übersehen: Viele NLP-Tools beinhalten keine Elfproef-Prüfung. Ohne sie wird jede 9-stellige Zeichenfolge als mögliche BSN markiert. Das erzeugt Fehlalarme in Finanz- und Verwaltungsdokumenten. Tippfehler-BSNs werden ebenfalls übersehen. Sie scheitern an der Prüfung, sehen aber wie ein gültiges Muster aus. Unsere Übersicht über EU-Steueridentifikatoren und PII-Erkennung vergleicht europäische ID-Formate im Detail.
NER für niederländische Texte
Das Niederländische (Nederlands) hat Merkmale, die bei auf Englisch trainierten Modellen Probleme verursachen.
Komposita: Niederländisch verbindet Wörter zu einem Begriff. Persoonsgegevens (personenbezogene Daten) und Burgerservicenummer (Bürger-ID-Nummer) sind jeweils ein einzelnes Wort. Modelle für Englisch teilen sie oft am falschen Punkt. Das zerstört die Entitätserkennung.
Namensendungen: Die Suffixe -je und -tje kommen in Vornamen vor — Annetje, Hansje. Namensmodelle müssen sowohl die Grundform als auch die Kurzform verarbeiten können.
Adressformate: Straßentypen sind Straat, Laan, Weg, Plein und Gracht. Postleitzahlen bestehen aus vier Ziffern und zwei Buchstaben (Beispiel: 1234 AB). Jede Postleitzahl entspricht einer einzelnen Straße und ist daher identifizierender als die meisten europäischen Pendants.
IBAN-Format: Niederländische IBANs sind 18 Zeichen lang: NL + 2 Prüfziffern + 4-buchstabiger Bankcode + 10-stellige Kontonummer. Das Land hat eine hohe Kartenzahlungsquote. Finanzielle Dokumente enthalten daher viele IBANs. Für Konfidenz-Scoring-Methoden über verschiedene ID-Typen hinweg, siehe binäre PII-Erkennung und Konfidenz-Scoring.
Technische Checkliste für die AP-Compliance
Um den aktuellen AP-Standards zu entsprechen, brauchen Datensysteme:
- BSN-Erkennung mit Elfproef — einfache Mustererkennung reicht nicht aus
- Niederländischsprachige NER — ein Modell wie spaCy
nl_core_newsverarbeitet Komposita und Kurzformen - IBAN-Erkennung — formatbewusst, nicht generisch
- Aufzeichnungen zu Unterauftragsverarbeitern für alle grenzüberschreitenden Übertragungen
- TIAs für US-Anbieter — nach dem Uber-Urteil ein aktiver AP-Prüfungsschwerpunkt
Nach dem Uber-Urteil ist ein TIA für US-Anbieter eine Grundvoraussetzung, keine Best Practice. Eine vollständige Analyse des Urteils und seiner Transferfolgen bietet AP Uber-Buße und grenzüberschreitende Transferdurchsetzung.